ทําไม SHA-256 อย่างเดียวไม่เหมาะสมสําหรับการจัดเก็บรหัสผ่าน
Checkums files and Server-side september playle แก้ปัญหาอื่น ๆ ได้ การ เก็บ รหัสผ่าน ต้อง ทํา ให้ การ เดา แบบ ออฟไลน์ แต่ ละ ครั้ง แพง.
ในคู่มือนี้
การแฮชไม่ได้เข้ารหัส: ไม่มีปฏิบัติการถอดรหัสที่สอดคล้องกัน อย่าง ไร ก็ ตาม หลัง จาก ที่ ข้อมูล รั่ว ของ ผู้ จู่ โจม สามารถ เดา ได้ และ เทียบ กับ สถิติ ที่ ถูก ขโมย โดย ไม่ ผ่าน ขีด จํากัด ของ การ ล็อกอิน ของ คุณ.
SHAความ เร็ว กลาย เป็น ข้อ เสีย เปรียบ
SHA-256 มีประโยชน์สําหรับการตรวจสอบความถูกต้องและการใช้งานหลายการเข้ารหัส ความ เร็ว ของ มัน ไม่ น่า ปรารถนา สําหรับ การ เก็บ รหัสผ่าน. เพิ่มเกลือเข้าไป SHA256(salt + password) ไม่ ทํา ให้ การ เดา ถูก ต้อง. ค่าใช้จ่ายเกลือและการคํานวณ ใช้วัตถุประสงค์ที่แตกต่างกัน
อย่า คิด ค้น รูป แบบ ที่ เชื่อ ถือ ได้ หรือ วง กลม ของ กัญชา ธรรมดา ๆ. ใช้ไลบรารีการจัดเก็บรหัสผ่านที่คงไว้
เลือกฟังก์ชันการอัปโหลดรหัสผ่านที่กําหนดเอง
OWASP ชอบ Argon2id สําหรับระบบใหม่ โดยมีสคริปต์เป็นทางเลือก เมื่อไม่มี PBKDF2 ทําหน้าที่ตามที่ต้องการ การเข้ารหัสยังคงเกี่ยวข้องกับระบบมรดก แต่มีข้อจํากัด รวมถึงความยาวการป้อนข้อมูลด้วย
ใช้ฟังก์ชันของไลบรารีสําหรับการสร้างและตรวจสอบความถูกต้อง, การเก็บค่าเกลือ และพารามิเตอร์ เลือกพารามิเตอร์ของค่าใช้จ่ายจากคําแนะนําและการวัดค่าบนเครื่องปลายทางในปัจจุบัน บัญชีสําหรับการล็อกอินซ้ํา และจํากัดทรัพยากร: การเติมเชื้อเพลิง อย่าทําให้การปฏิเสธบริการเป็นเรื่องเล็กน้อย การ จํากัด อัตรา ออนไลน์ ยัง จําเป็น.
เข้าใจเกลือและพริกไทย
เกลือ เป็น สิ่ง ที่ ไม่ มี ใด เหมือน และ ไม่ มี ใคร เหมือน ใน แต่ ละ บันทึก ไม่ จําเป็น ต้อง เป็น เรื่อง ลับ. เก็บ อัลกอริทึม ที่ ระบุ และ พารามิเตอร์ ของ การ ตรวจ สอบ ไว้ ด้วย ซึ่ง บ่อย ครั้ง อยู่ ใน บันทึก ที่ เข้า รหัส ของ ห้อง สมุด.
พริกเป็นทางเลือกที่เป็นความลับ ที่เก็บไว้นอกฐานข้อมูล มันสามารถช่วยในบางสถานการณ์ที่ฝ่าฝืน แต่ซับซ้อนการหมุนและการจัดการที่สําคัญ มัน จะ ไม่ แทน ที่ เกลือ หรือ การ ทํา ความ ร้อน ให้ พอ เหมาะ.
บันทึกการปรับรุ่นหลังจากการตรวจสอบได้สําเร็จ
ในการล็อกอินที่ประสบความสําเร็จ ให้ตรวจสอบบันทึกเก่าก่อน จากนั้นแก้รหัสผ่านที่ส่งแล้วใหม่ ถ้าตัวแปรนั้นหมดอายุ คุณไม่สามารถดึงข้อมูลรหัสผ่านดั้งเดิมจาก Hashes ที่มีอยู่แล้วได้ เพื่อทําการย้ายฐานข้อมูลทั้งหมด บัญชีที่ไม่ได้ทํางานต้องการนโยบายการรีเซ็ตหรือการย้ายถิ่นฐาน การซ่อมแซมไม่ได้ยกเลิกการรั่วไหลก่อนหน้านี้
ก่อนปรับใช้ โปรดทดสอบรหัสผ่านไม่ถูกต้อง การย้ายถิ่นฐาน มรดก จํากัด และโหลด ห้ามบันทึกรหัสผ่านการทดสอบ หรือส่งไปยังวิเคราะห์